Google corrige quinta vulnerabilidade zero day do Chrome em 2025

A Google anunciou um novo conjunto de atualizações de segurança para o Chrome destinado a corrigir seis vulnerabilidades detetadas no navegador, entre as quais uma falha crítica que já está a ser ativamente explorada. A vulnerabilidade, identificada como CVE-2025-6558, é classificada como um bug de Zero Day.

Segundo o National Institute of Standards and Technology (NIST) dos EUA, esta falha decorre de uma validação incorreta de entradas não fidedignas nos componentes ANGLE e GPU do navegador.

O ANGLE, sigla de Almost Native Graphics Layer Engine, é um motor gráfico multiplataforma de código aberto utilizado como backend padrão do WebGL no Chrome e também no Firefox em sistemas Windows. O Chrome faz ainda uso do componente GPU para processar gráficos e conteúdos de vídeo nas páginas web.

De acordo com o NIST, a exploração bem-sucedida desta vulnerabilidade pode permitir que atacantes remotos escapem à sandbox do navegador através de páginas HTML criadas para esse efeito, o que permite executar código fora do ambiente isolado do browser.

Num comunicado, a Google confirma que “tem conhecimento da existência de um exploit para a CVE-2025-6558 a circular na natureza”, mas não avançou detalhes sobre os ataques observados, por motivos de segurança.

Este já é o quinto bug de Zero Day corrigido pela Google no Chrome desde o início do ano. A descoberta foi feita pelos investigadores Clément Lecigne e Vlad Stolyarov, do Threat Analysis Group (TAG) da Google, uma equipa conhecida por expor vulnerabilidades exploradas por fornecedores de spyware comercial.

Para além deste Zero Day, a atualização mais recente do Chrome corrige ainda dois outros problemas identificados por investigadores externos: o CVE-2025-7656, um erro de estouro de inteiro no motor JavaScript V8, e o CVE-2025-7657, uma falha de use-after-free no WebRTC.

A Google revelou ter atribuído uma recompensa de sete mil dólares pela identificação do bug no V8, não tendo ainda divulgado o montante relativo à falha no WebRTC. Conforme o habitual, não foi concedida qualquer recompensa pelo Zero Day, uma vez que foi detetado internamente.

As novas versões do Chrome já estão a ser disponibilizadas para Windows, macOS e Linux, e os utilizadores são aconselhados a atualizar o navegador o mais rapidamente possível.